組織全体で「Shielded VM」を必須化する組織ポリシーを適用したが、一部の古いイメージを使用するレガシーシステムのみ例外としたい。タグ（Tag）を使用した条件付きポリシー適用は可能か。

Private Service Connect (PSC) を使用して、Googleのマネージドサービス（ApigeeやCloud Composerなど）にアクセスする際、VPC内のルートテーブルやファイアウォール設定で考慮すべき点はどれか。